1. Responsable del tratamiento
XATECH SERVICES S.A.S. (en adelante, "CuyPay"), sociedad colombiana, es la responsable del tratamiento de los datos personales recolectados a través de la aplicación CuyPay para iPhone, el sitio web www.cuypay.com y los canales de atención.
- Correo para asuntos de datos personales: info@cuypay.com
- Domicilio: Bogotá D.C., Colombia. [NIT y dirección física pendientes de completar]
2. Marco legal
Esta política se rige por el artículo 15 de la Constitución Política (derecho de Habeas Data), la Ley Estatutaria 1581 de 2012, el Decreto 1377 de 2013 (compilado en el Decreto Único Reglamentario 1074 de 2015), la Ley 1266 de 2008 en lo que aplique a información financiera, y las instrucciones de la Superintendencia de Industria y Comercio (SIC).
3. Datos que tratamos
| Categoría | Ejemplos |
|---|---|
| Identificación y contacto | Nombres, apellidos, número celular, correo electrónico, país. |
| Verificación de identidad (KYC) | Tipo y número de documento, imágenes del documento, selfie y prueba de vida, resultado de la verificación. |
| Transaccionales | Saldos de los bolsillos COP y BRL, llave Bre-B, depósitos, envíos, conversiones, beneficiarios inscritos (nombre del titular, entidad y llave). |
| Dispositivo y seguridad | Identificador del dispositivo, clave pública generada en el Secure Enclave, dirección IP, registros de acceso y de firma de operaciones. |
| Cumplimiento (SARLAFT) | Resultados de consultas en listas restrictivas, alertas y reportes requeridos por la ley. |
Las imágenes del documento y la selfie del proceso KYC son datos sensibles. Su suministro es facultativo, pero sin ellos no podemos abrir tu cuenta, porque la verificación de identidad es una obligación legal para prestar servicios de pago.
4. Biometría y Face ID
CuyPay usa Face ID (o el código del dispositivo) para que apruebes cada operación sensible. Tus datos biométricos de Face ID nunca salen de tu iPhone: Apple los procesa dentro del Secure Enclave y CuyPay no tiene acceso a ellos. Lo único que recibimos es una firma criptográfica (ECDSA P-256) que demuestra que la operación fue aprobada en tu dispositivo.
La selfie y la prueba de vida del proceso KYC son distintas de Face ID: las procesa nuestro proveedor Sumsub con el único fin de verificar tu identidad (ver sección 6).
5. Finalidades
- Crear y administrar tu cuenta, tus bolsillos y tu llave Bre-B.
- Verificar tu identidad y prevenir fraude y suplantación.
- Procesar depósitos, envíos por Bre-B y conversiones de COP a BRL.
- Cumplir obligaciones de prevención de lavado de activos y financiación del terrorismo (SARLAFT), incluidos los reportes a la UIAF cuando la ley lo exija.
- Aplicar límites transaccionales y monitorear operaciones inusuales.
- Atender solicitudes, quejas y reclamos, y enviarte notificaciones del servicio.
- Con tu autorización expresa y revocable: enviarte información comercial de CuyPay.
6. Encargados y terceros
Compartimos datos solo en la medida necesaria con encargados que actúan bajo nuestras instrucciones:
- Sumsub: verificación de identidad (KYC) y prueba de vida.
- Coinsenda: procesamiento de pagos Bre-B en pesos colombianos.
- Sartblock: consulta de listas restrictivas (AML) sobre beneficiarios.
- Aliado de pagos en Brasil: liquidación de los reales (BRL) y operaciones PIX.
- Proveedores de infraestructura en la nube, mensajería SMS y correo.
- Autoridades competentes, cuando exista una orden legal o una obligación de reporte.
7. Transferencia y transmisión internacional
Para convertir tus pesos en reales es necesario transmitir datos a nuestro aliado de pagos en Brasil, país que cuenta con la Lei Geral de Proteção de Dados (LGPD). Algunos encargados (por ejemplo, Sumsub y los proveedores de nube) pueden procesar datos en otros países. En todos los casos lo hacemos conforme al artículo 26 de la Ley 1581 de 2012, con contratos de transmisión que exigen niveles adecuados de protección, o con tu autorización expresa, que otorgas al aceptar esta política en la app.
8. Tus derechos como titular
- Conocer, actualizar y rectificar tus datos.
- Solicitar prueba de la autorización otorgada.
- Ser informado sobre el uso que damos a tus datos.
- Presentar quejas ante la Superintendencia de Industria y Comercio.
- Revocar la autorización o pedir la supresión de tus datos, salvo cuando exista un deber legal o contractual de conservarlos (por ejemplo, registros SARLAFT).
- Acceder gratuitamente a tus datos personales.
9. Consultas y reclamos
Escríbenos a info@cuypay.com desde el correo registrado, indicando tu nombre, número de documento y la solicitud.
- Consultas: respondemos en máximo 10 días hábiles (prorrogables 5 días hábiles más).
- Reclamos: respondemos en máximo 15 días hábiles (prorrogables 8 días hábiles más). Si el reclamo está incompleto, te pediremos completarlo dentro de los 5 días siguientes.
10. Seguridad de la información
Aplicamos cifrado en tránsito (TLS) y en reposo, firma de cada operación con una clave guardada en el Secure Enclave, control de acceso por roles con autenticación de dos factores para nuestro equipo, registros de auditoría inmutables y separación de secretos en el servidor. Ningún sistema es infalible; si ocurre un incidente que afecte tus datos te avisaremos y lo informaremos a la SIC según la ley.
11. Conservación
Conservamos tus datos mientras tengas una cuenta activa y, después, durante el tiempo exigido por las normas comerciales, tributarias y de prevención de lavado de activos (en general, al menos 5 años desde la última operación).
12. Menores de edad
CuyPay es solo para mayores de 18 años. No recolectamos conscientemente datos de menores.
13. Cambios a esta política
Si hacemos cambios sustanciales te avisaremos en la app o por correo antes de que entren en vigor. Esta política está vigente desde su publicación definitiva y la base de datos será inscrita en el Registro Nacional de Bases de Datos (RNBD) cuando aplique.